ホリデー期間中のオンラインのセキュリティを守る

ホリデー旅行の特典、タイムセール、駆け込みのギフト探しは、攻撃者が人目を逃れて潜むのに理想的な環境を生み出します。予約確認やプロモーション メールを偽装するリダイレクト攻撃では、被害者を CAPTCHA ページへ誘導するケースがよくあります。これはユーザーにとって見慣れたパターンで、疑われにくいのが特徴です。しかし、これは本物の CAPTCHA ではありません。脅威アクターはこれを、ソーシャル エンジニアリングの手口を届ける仕組みとして利用し、被害者に悪意のあるコマンドを Windows の [ファイル名を指定して実行] やターミナルに直接貼り付けさせようとします。

Microsoft 脅威インテリジェンスは最近、これらの ClickFix スキームが急速に拡大していることについて警告しました。必要なのは脆弱性の悪用ではなく、ユーザーの操作だけです。この単純さゆえに大規模展開がしやすく、買い物客が急いでいて、何気ない操作指示に従いやすい季節の繁忙期には特に危険です。

たとえば感謝祭直前には、Microsoft 脅威インテリジェンスが、米国の数万人を標的とした Storm-0900 による大量のフィッシング攻撃活動を検出し、ブロックしました。この攻撃者は、人々の注意がそれやすく、緊急のメッセージを受け取ると考えられる祝日に合わせて作戦を実行しました。

メールには、駐車違反切符、医療結果、感謝祭に関連する話題など、見覚えのある誘導文句が使われていました。各メッセージは、被害者を攻撃者が管理するサイトへリダイレクトし、偽のスライダー CAPTCHA の後に ClickFix のプロンプトを表示しました。

Microsoft は、フィルタリング、エンドポイント保護、そして攻撃者インフラの先回りブロックによって、この攻撃活動を阻止しました。とはいえ、この攻撃活動は、攻撃者が信頼されやすい UX パターン (CAPTCHA など) とユーザー実行型の手法を組み合わせ、従来の制御を回避する手口を示す明確な例です。

ホリデー ショッピングの時期になると、誰もが荷物の追跡ばかりしてしまうものです。脅威アクターは、そうした思考の流れに入り込んできます。多くの人が十数件もの荷物を同時に追跡しているため、配達遅延や住所確認を求めるメールがもう 1 通増えても、疑われにくいのです。

デジタル防衛レポートによると、配送を装ったフィッシングは、最も悪用されている偽装手口の 1 つです。 Microsoft 脅威インテリジェンスによると、こうした配送関連の手口は毎年のホリデー シーズンに決まって急増しており、攻撃者は UPS、USPS、FedEx、Amazon、DHL、地域の郵便事業者などの有名配送業者を装います。巧妙に業者らしく見せかけ、タイミングも自然。さらに、買い物が最も活発になる時期のユーザー心理が、こうした攻撃をいっそう効果的にしています。

こうした攻撃活動は正規の取引フローを忠実に再現し、流出データや収集された受信トレイから取得した実在の追跡番号を含むことも多いため、ユーザーが本物の通知と見分けるのはますます困難になっています。

セキュリティが季節の楽しみを奪うものではあってはなりませんが、活動が増えて注意が散漫になりやすい場面では、意識が何より重要です。Microsoft の サイバー スマートになるためのキット (Be CyberSmart Kit) 全体に共通するメッセージも、この点で一致しています。少し立ち止まって確認する、一手間かける、もう一度見直す——そのひと呼吸が、安全を守れるか、被害に遭うかの分かれ目になることがよくあります。